ClassicShell如何自动启动？为何Sysinternals Autoruns无法检测到它？

嘿，这个问题我之前排查过类似的情况——ClassicShell的启动逻辑确实和常规自启程序不一样，这也是它没出现在Autoruns常规登录列表里的原因，给你拆解一下：

• 不是独立自启，而是依赖Explorer的Shell扩展机制
  ClassicShell本质是Windows Shell的增强工具，它并没有通过常规的Run/RunOnce注册表项或者启动文件夹来实现自启，而是注册成了Explorer的Shell扩展/Shell Hook。当系统启动并加载explorer.exe（资源管理器）时，Explorer会自动加载所有已注册的合法Shell扩展，ClassicShell就跟着被加载启动了。这种方式属于Explorer的组件加载流程，不在Autoruns默认的“Logon”标签范围内。

• 关键的注册表注册项
  它的启动依赖注册表中与Shell扩展相关的注册信息，比如：

  • 在HKEY_CLASSES_ROOT\CLSID下会有对应ClassicShell的CLSID条目，指向它的核心DLL文件；
  • 在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Extensions\Approved或Enabled项下，会记录允许Explorer加载的ClassicShell扩展项。
    你可以在Autoruns中切换到Shell Extensions或者CLSID标签，搜索“IvoSoft”或“ClassicShell”就能找到这些条目。

• 父进程是Explorer.exe的原因
  因为ClassicShell要么是以DLL形式注入到Explorer进程中运行，要么是由Explorer作为父进程直接启动它的辅助进程——它本身并不是一个独立的、由系统登录流程直接触发的程序，所以Process Explorer里会显示它的父进程是explorer.exe。

如果你想验证的话，可以试试这两个操作：

1. 打开Process Explorer，找到explorer.exe，右键选择“Properties”→“DLLs”标签，看看列表里有没有ClassicShell相关的DLL文件；
2. 在Autoruns中切换到“Shell Extensions”标签，勾选“Hide Microsoft entries”，更容易找到第三方扩展里的ClassicShell条目。

内容的提问来源于stack exchange，提问作者M_M